Giriş
Dijitalleşmenin hız kazanmasıyla birlikte kamu kurumları, özel şirketler, sağlık kuruluşları, bankalar ve birçok farklı kuruluş büyük miktarda kişisel veriyi elektronik ortamlarda işlemekte ve saklamaktadır.
Ancak kişisel verilerin korunmasına ilişkin yükümlülük yalnızca bu verilerin hukuka uygun şekilde elde edilmesi ve işlenmesiyle sınırlı değildir.
Aynı zamanda işlenme amacı ortadan kalkan veya kanunlarda öngörülen saklama süresi sona eren kişisel verilerin silinmesi, yok edilmesi ya da anonim hâle getirilmesi de hukuki bir zorunluluktur.
Kişisel verilerin gereğinden uzun süre muhafaza edilmesi, bireylerin özel hayatı ve bilgi güvenliği bakımından önemli riskler doğurmaktadır.
Süresi dolmasına rağmen sistemlerde tutulmaya devam edilen veriler; hukuka aykırı erişimlere, veri ihlallerine, kimlik hırsızlığına ve kişisel verilerin kötüye kullanılmasına zemin hazırlayabilmektedir.
Kanun koyucu da bu tehlikeyi dikkate alarak yalnızca kişisel verilerin hukuka aykırı şekilde kaydedilmesini veya üçüncü kişilere verilmesini değil, kanunen yok edilmesi gereken kişisel verilerin sistem içerisinde tutulmaya devam edilmesini de bağımsız bir suç olarak düzenlemiştir.
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen Verileri Yok Etmeme Suçu, kişisel verilerin korunmasına ilişkin yükümlülüklerin yalnızca verilerin elde edilmesi ve kullanılması aşamasında değil, saklama süresinin sona ermesinden sonraki süreçte de devam ettiğini ortaya koyan önemli bir ceza normudur.
Bu makalede; verileri yok etmeme suçunun kanuni düzenlemesi, suçun unsurları, verilerin silinmesi, yok edilmesi ve anonim hâle getirilmesi kavramları, nitelikli hâller, deliller, görevli mahkeme, zamanaşımı, şikâyet, uzlaştırma ve uygulamada sık karşılaşılan örnekler ayrıntılı olarak ele alınacaktır.
Verileri Yok Etmeme Suçu Nedir?
Verileri yok etmeme suçu; kanunlarda öngörülen saklama sürelerinin dolmasına rağmen, sistem içerisinde bulunan kişisel verileri silmek, yok etmek veya ilgili mevzuata uygun şekilde imha etmekle yükümlü olan kişilerin bu yükümlülüklerini yerine getirmemeleri hâlinde oluşan suçtur.
Türk Ceza Kanunu’nun 138. maddesi ile korunan temel amaç, kişisel verilerin gereksiz şekilde sistemlerde tutulmasının önüne geçmek ve bireylerin kişisel verileri üzerindeki hâkimiyetini, verilerin yaşam döngüsünün son aşamasında da güvence altına almaktır.
Bu suç, uygulamada çoğu zaman kişisel verilerin kaydedilmesi veya hukuka aykırı şekilde paylaşılması suçlarıyla karıştırılmaktadır. Oysa TCK’nın 138. maddesinde cezalandırılan fiil, kişisel verilerin elde edilmesi veya paylaşılması değil; kanunen yok edilmesi gereken verilerin sistem içerisinde tutulmaya devam edilmesidir.
Başka bir ifadeyle, kişisel verilerin başlangıçta hukuka uygun şekilde elde edilmiş olması, ilerleyen süreçte bu verilerin süresiz olarak saklanabileceği anlamına gelmez.
Örneğin;
- işten ayrılan çalışanlara ait özlük bilgilerinin saklama süresi dolmasına rağmen sistemde tutulmaya devam edilmesi,
- üyelik sona ermesine rağmen müşterilere ait kişisel verilerin veri tabanından silinmemesi,
- hukuki dayanağı ortadan kalkmasına rağmen sağlık kayıtlarının gereksiz şekilde muhafaza edilmesi,
- saklama süresi dolan kamera kayıtlarının sistemden kaldırılmaması,
somut olayın özelliklerine göre TCK’nın 138. maddesi kapsamında değerlendirmeye konu olabilir.
Kanun Metni
5237 sayılı Türk Ceza Kanunu’nun 138. maddesi şu şekildedir:
Madde 138- (1) Kanunların belirlediği sürelerin geçmiş olmasına karşın verileri sistem içinde yok etmekle yükümlü olanlara, görevlerini yerine getirmediklerinde bir yıldan iki yıla kadar hapis cezası verilir.
(2) Suçun konusunun, Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.
Madde hükmünden de anlaşılacağı üzere suçun oluşabilmesi için yalnızca kişisel verilerin sistemde bulunması yeterli değildir.
Ayrıca;
- verilerin kanunen belirlenen saklama süresinin sona ermiş olması,
- failin bu verileri sistemden yok etmekle yükümlü bulunması,
- buna rağmen yükümlülüğünü yerine getirmemesi,
gerekmektedir.
Dolayısıyla TCK’nın 138. maddesi, kişisel verilerin hukuka uygun şekilde elde edilmesinden sonraki süreçte doğan imha yükümlülüğünün ihlalini cezalandırmaktadır.
Korunan Hukuki Değer
Türk Ceza Kanunu’nun 138. maddesinde korunan hukuki değer, bireyin kişisel verileri üzerindeki kontrol hakkı, özel hayatının gizliliği ve bilgi güvenliğidir.
Kişisel verilerin korunmasına ilişkin yükümlülük, yalnızca verilerin hukuka uygun şekilde elde edilmesini veya kullanılmasını kapsamaz. Aynı zamanda bu verilerin, işlenme amacının ortadan kalkması veya kanuni saklama süresinin sona ermesi hâlinde sistemlerden çıkarılmasını da gerektirir.
Aksi hâlde kişisel veriler, herhangi bir hukuki ihtiyaç bulunmamasına rağmen süresiz şekilde muhafaza edilmiş olur. Bu durum ise kişisel verilerin kötüye kullanılmasına, yetkisiz erişimlere ve bireylerin temel haklarının ihlal edilmesine zemin hazırlayabilir.
Bu nedenle TCK’nın 138. maddesi, kişisel verilerin yaşam döngüsünün son aşamasını da ceza hukuku koruması altına almaktadır.
Bu yönüyle TCK’nın 138. maddesi;
- TCK’nın 135. maddesinden, kişisel verilerin hukuka aykırı şekilde kaydedilmesini değil; saklama süresi sona eren verilerin yok edilmemesini cezalandırması,
- TCK’nın 136. maddesinden ise kişisel verilerin verilmesi, yayılması veya ele geçirilmesini değil; sistemde tutulmaya devam edilmesini yaptırıma bağlaması,
bakımından ayrılmaktadır.
Dolayısıyla TCK’nın 138. maddesi, kişisel verilerin korunmasına ilişkin ceza hukuku sisteminin son halkasını oluşturmaktadır.
Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hâle Getirilmesi Kavramları
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen verileri yok etmeme suçunun doğru şekilde anlaşılabilmesi için öncelikle silme, yok etme ve anonim hâle getirme kavramlarının birbirinden ayrılması gerekir.
Uygulamada bu kavramlar çoğu zaman aynı anlamda kullanılsa da, hukuki ve teknik açıdan birbirinden farklı işlemleri ifade etmektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili yönetmeliklerde de bu kavramlar ayrı ayrı düzenlenmiş ve veri sorumlularına farklı yükümlülükler yüklenmiştir.
Bu nedenle, kanunen saklama süresi sona eren kişisel veriler bakımından hangi yöntemin uygulanacağı; verinin niteliğine, işlenme amacına ve ilgili mevzuata göre belirlenmelidir.
Kişisel Verilerin Silinmesi
Kişisel verilerin silinmesi; ilgili verilerin, yetkili kullanıcılar bakımından erişilemez ve yeniden kullanılamaz hâle getirilmesi işlemidir.
Silme işleminde veri tamamen fiziksel olarak ortadan kaldırılmayabilir. Ancak veri sorumlusunun normal faaliyetleri kapsamında artık bu verilere erişilmesi, görüntülenmesi veya kullanılabilmesi mümkün değildir.
Başka bir ifadeyle veri teknik olarak sistem içerisinde bulunmaya devam edebilse bile, hukuken ve fiilen kullanım dışı bırakılmıştır.
Örneğin;
- üyeliği sona eren bir müşterinin bilgilerinin aktif veri tabanından kaldırılması,
- işten ayrılan çalışanın kullanıcı hesabının kapatılması,
- elektronik dosyalara erişim yetkilerinin tamamen kaldırılması,
kişisel verilerin silinmesine örnek olarak gösterilebilir.
Silme işleminin amacı, kişisel verilerin artık işlenme amacına hizmet etmediği durumlarda kullanılmasının önüne geçmektir.
Kişisel Verilerin Yok Edilmesi
Kişisel verilerin yok edilmesi, kişisel verilerin hiçbir şekilde geri getirilemeyecek biçimde tamamen ortadan kaldırılması anlamına gelmektedir.
Silme işleminden farklı olarak burada yalnızca erişimin engellenmesi değil, verinin bulunduğu ortamdan tamamen çıkarılması söz konusudur.
Yok etme işlemi;
- dijital depolama alanlarının güvenli şekilde imha edilmesi,
- fiziksel belgelerin parçalanması veya yakılması,
- manyetik ortamların geri döndürülemeyecek şekilde tahrip edilmesi,
- depolama cihazlarının fiziksel olarak imha edilmesi,
gibi yöntemlerle gerçekleştirilebilir.
Bu işlem sonrasında verinin teknik yöntemlerle yeniden elde edilmesi mümkün olmamalıdır.
Özellikle kişisel verilerin geri döndürülebilecek şekilde yalnızca “çöp kutusuna taşınması” veya görünür alandan kaldırılması, tek başına yok etme işlemi olarak kabul edilmez.
Kişisel Verilerin Anonim Hâle Getirilmesi
Anonim hâle getirme, kişisel verilerin başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma getirilmesi işlemidir.
Bu yöntemde veri tamamen ortadan kaldırılmaz.
Ancak veri içerisindeki kişiyi belirlemeye yarayan unsurlar geri döndürülemeyecek şekilde kaldırılır veya değiştirilir.
Örneğin;
bir hastanenin bilimsel araştırma amacıyla kullandığı hasta kayıtlarında;
- ad,
- soyad,
- T.C. kimlik numarası,
- telefon numarası,
- adres,
gibi kişiyi belirleyebilecek bilgilerin sistemden çıkarılması ve yalnızca istatistiksel verilerin bırakılması anonimleştirmeye örnek gösterilebilir.
Bu durumda veri araştırma amacıyla kullanılmaya devam edebilir; ancak artık belirli bir gerçek kişiye ulaşılması mümkün değildir.
Silme, Yok Etme ve Anonim Hâle Getirme Arasındaki Farklar
Her ne kadar bu üç yöntem kişisel verilerin korunmasına hizmet etse de hukuki sonuçları bakımından önemli farklılıklar bulunmaktadır.
Silme işleminde veri sistemde bulunmaya devam edebilir; ancak erişilemez ve kullanılamaz hâle getirilir.
Yok etme işleminde veri tamamen ortadan kaldırılır ve geri getirilmesi mümkün olmaz.
Anonim hâle getirmede ise veri varlığını sürdürür; ancak artık belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez.
Bu nedenle hangi yöntemin uygulanacağı, ilgili mevzuatta öngörülen yükümlülükler ile kişisel verinin işlenme amacına göre belirlenmelidir.
TCK m.138 Bakımından Bu Kavramların Önemi
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen suç bakımından önemli olan husus, kanunen saklanma süresi sona eren kişisel veriler hakkında ilgili mevzuatın gerektirdiği işlemin zamanında yerine getirilmesidir.
Bazı durumlarda bu işlem verilerin tamamen yok edilmesini gerektirirken, bazı hâllerde silme veya anonim hâle getirme yükümlülüğü söz konusu olabilir.
Eğer kanundan kaynaklanan yükümlülüğe rağmen kişisel veriler sistem içerisinde tutulmaya devam ediyorsa, somut olayın özelliklerine göre TCK’nın 138. maddesi kapsamında cezai sorumluluk gündeme gelebilir.
Bu nedenle veri sorumlularının yalnızca kişisel verileri güvenli şekilde muhafaza etmeleri değil; saklama süresi sona eren veriler bakımından hangi yöntemin uygulanacağını doğru belirlemeleri ve bu işlemleri süresi içerisinde yerine getirmeleri büyük önem taşımaktadır.
Verileri Yok Etme Yükümlülüğü Kimlere Aittir?
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen verileri yok etmeme suçunun oluşabilmesi için öncelikle kişisel verileri sistem içerisinde yok etmekle yükümlü bir kişinin bulunması gerekir.
Kanun koyucu, bu yükümlülüğü yalnızca belirli kurumlara değil; ilgili mevzuat uyarınca kişisel verileri işleyen, saklayan ve belirli süre sonunda imha etmekle yükümlü olan gerçek ve tüzel kişi organizasyonlarına yüklemiştir.
Dolayısıyla kişisel verilerin sistemde bulunması tek başına suçun oluşması için yeterli değildir.
Ayrıca bu verileri kanunen belirlenen süre sonunda silmek, yok etmek veya anonim hâle getirmekle yükümlü olunmasına rağmen bu yükümlülüğün yerine getirilmemesi gerekir.
Bu nedenle her somut olayda öncelikle verilerin kim tarafından tutulduğu ve bu verileri imha etmekle kimin yükümlü olduğu belirlenmelidir.
Veri Sorumlusunun Yükümlülüğü
6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişiler veri sorumlusu olarak kabul edilmektedir.
Veri sorumluları, yalnızca kişisel verilerin hukuka uygun şekilde toplanmasından değil; işlenme amacı ortadan kalktığında veya kanuni saklama süresi sona erdiğinde bu verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesinden de sorumludur.
Bu yükümlülük, kişisel verilerin korunmasına ilişkin temel ilkelerin doğal bir sonucudur.
Verilerin süresiz şekilde sistemlerde tutulması, veri sorumlusunun hukuki sorumluluğunu doğurabileceği gibi, gerekli şartların oluşması hâlinde Türk Ceza Kanunu’nun 138. maddesi kapsamında cezai sorumluluğa da yol açabilir.
Kamu Kurumları
Kamu kurum ve kuruluşları, görevleri gereği çok sayıda kişisel veriyi işlemektedir.
Örneğin;
- nüfus kayıtları,
- eğitim bilgileri,
- sosyal güvenlik kayıtları,
- sağlık verileri,
- vergi kayıtları,
- adli kayıtlar,
kamu kurumlarının bilgi sistemlerinde muhafaza edilmektedir.
Bu verilerin tamamı süresiz olarak saklanamaz.
İlgili kanunlarda veya özel mevzuatta öngörülen saklama süreleri sona erdiğinde, gerekli işlemlerin yerine getirilmesi gerekir.
Görevli kişilerin bu yükümlülüğü yerine getirmemeleri hâlinde, somut olayın özelliklerine göre TCK’nın 138. maddesi gündeme gelebilir.
Özel Şirketler
Özel sektör kuruluşları da faaliyetleri kapsamında çok sayıda kişisel veri işlemektedir.
Örneğin;
- müşteri bilgileri,
- çalışan özlük dosyaları,
- aday çalışan başvuruları,
- üyelik kayıtları,
- satış kayıtları,
- iletişim bilgileri,
şirketlerin veri tabanlarında uzun süre muhafaza edilebilmektedir.
Ancak bu verilerin tamamının süresiz şekilde saklanması hukuken mümkün değildir.
İşlenme amacı ortadan kalktığında veya kanuni saklama süresi sona erdiğinde, veri sorumlusu gerekli imha işlemlerini gerçekleştirmek zorundadır.
Sağlık Kuruluşları
Hastaneler, tıp merkezleri, poliklinikler ve diğer sağlık kuruluşları, kişisel veriler arasında en hassas kabul edilen sağlık verilerini işlemektedir.
Bu nedenle sağlık kuruluşlarının veri güvenliğine ilişkin yükümlülükleri daha da önem taşımaktadır.
Hasta kayıtlarının, teşhis bilgilerinin, laboratuvar sonuçlarının ve benzeri sağlık verilerinin ilgili mevzuatta öngörülen sürelerin sona ermesine rağmen sistemde tutulmaya devam edilmesi, somut olayın özelliklerine göre hukuki ve cezai sorumluluk doğurabilir.
Bankalar ve Finans Kuruluşları
Bankalar ve finans kuruluşları da müşterilerine ait;
- kimlik bilgilerini,
- hesap hareketlerini,
- kredi bilgilerini,
- iletişim bilgilerini,
- finansal kayıtları,
işlemektedir.
Bu verilerin saklanması, paylaşılması ve imha edilmesi bankacılık mevzuatı ile kişisel verilerin korunmasına ilişkin düzenlemeler çerçevesinde yürütülmektedir.
Saklama yükümlülüğü sona ermesine rağmen verilerin sistemlerde tutulmaya devam edilmesi hâlinde TCK’nın 138. maddesi bakımından değerlendirme yapılması gündeme gelebilir.
İşverenler
İşverenler, çalışanlarına ait çok sayıda kişisel veriyi iş ilişkisi kapsamında işlemektedir.
Bunlar arasında;
- özlük dosyaları,
- ücret bilgileri,
- disiplin kayıtları,
- performans değerlendirmeleri,
- biyometrik veriler,
- kamera kayıtları,
gibi birçok veri yer alabilmektedir.
İş sözleşmesinin sona ermesi, bu verilerin tamamının derhâl silinmesini gerektirmez.
Ancak ilgili mevzuatta öngörülen saklama sürelerinin dolmasıyla birlikte işverenlerin gerekli imha işlemlerini gerçekleştirmeleri gerekir.
Bu yükümlülüğün yerine getirilmemesi hâlinde TCK’nın 138. maddesi kapsamında sorumluluk doğabilir.
Eğitim Kurumları
Okullar, üniversiteler, kurs merkezleri ve diğer eğitim kurumları da öğrenciler ile personele ilişkin kişisel verileri işlemektedir.
Öğrenci dosyaları, sınav kayıtları, disiplin işlemleri, mezuniyet bilgileri ve benzeri kayıtların saklanması belirli hukuki amaçlara dayanmaktadır.
Bu amaçların sona ermesi veya mevzuatta öngörülen saklama sürelerinin dolması hâlinde gerekli imha işlemlerinin yerine getirilmesi gerekir.
E-Ticaret Platformları ve Dijital Hizmet Sağlayıcıları
Günümüzde en fazla kişisel veri işleyen kuruluşlardan biri de e-ticaret şirketleri ve dijital platformlardır.
Bu kuruluşlar;
- kullanıcı hesap bilgileri,
- sipariş geçmişi,
- teslimat adresleri,
- ödeme bilgileri,
- iletişim kayıtları,
- müşteri destek talepleri,
gibi çok sayıda kişisel veriyi işlemektedir.
Bu verilerin saklanması süresiz değildir.
Kanuni yükümlülüklerin sona ermesi ve işlenme amacının ortadan kalkması hâlinde gerekli imha süreçlerinin işletilmesi zorunludur.
Verileri Yok Etme Yükümlülüğünün Önemi
Kişisel verilerin korunması yalnızca verilerin güvenli şekilde saklanmasıyla sağlanamaz.
En az bunun kadar önemli olan husus, artık tutulmasına gerek bulunmayan verilerin zamanında sistemlerden çıkarılmasıdır.
Aksi hâlde uzun yıllar boyunca gereksiz şekilde muhafaza edilen kişisel veriler;
- veri ihlallerine,
- siber saldırılara,
- kimlik hırsızlığına,
- yetkisiz erişimlere,
- kişisel verilerin hukuka aykırı kullanılmasına,
zemin hazırlayabilir.
Bu nedenle TCK’nın 138. maddesi, veri sorumlularına yalnızca “veriyi koruma” değil, aynı zamanda “gerektiğinde veriyi ortadan kaldırma” yükümlülüğü de yüklemektedir.
Suçun Unsurları
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen verileri yok etmeme suçunun oluşabilmesi için suçun maddi ve manevi unsurlarının somut olayda birlikte gerçekleşmesi gerekir.
Bu suç, kişisel verilerin hukuka aykırı şekilde kaydedilmesini veya paylaşılmasını cezalandıran diğer suç tiplerinden farklı olarak, kanundan kaynaklanan bir yükümlülüğün yerine getirilmemesi üzerine kurulmuştur.
Bu nedenle suçun oluşup oluşmadığı değerlendirilirken yalnızca kişisel verilerin sistemde bulunması yeterli değildir. Aynı zamanda kişisel verilerin kanunen belirlenen saklama süresinin sona ermiş olması, failin bu verileri sistemden silmek, yok etmek veya ilgili mevzuata uygun şekilde imha etmekle yükümlü bulunması ve buna rağmen yükümlülüğünü yerine getirmemesi gerekir.
Bu yönüyle TCK’nın 138. maddesi, kişisel verilerin korunmasına ilişkin ceza hukuku düzenlemeleri içerisinde kendine özgü bir yapıya sahiptir.
Maddi Unsur
Suçun maddi unsurunu, kanunlarda belirlenen saklama süresi sona ermesine rağmen kişisel verilerin sistem içerisinde tutulmaya devam edilmesi oluşturmaktadır.
Burada cezalandırılan hareket, kişisel verilerin aktif olarak paylaşılması veya kaydedilmesi değildir.
Aksine, kanunen yapılması gereken bir işlemin gerçekleştirilmemesi söz konusudur.
Başka bir ifadeyle fail, kişisel verileri silmek, yok etmek veya anonim hâle getirmekle yükümlü olmasına rağmen bu yükümlülüğünü yerine getirmemektedir.
Bu nedenle TCK’nın 138. maddesinde düzenlenen suç, ihmali davranışla işlenen suçlardan biri olarak değerlendirilmektedir.
İhmali Hareketle İşlenen Bir Suçtur
Türk Ceza Kanunu’nun 138. maddesini diğer kişisel veri suçlarından ayıran en önemli özelliklerden biri, suçun bir şeyi yapmak yerine yapmamak suretiyle işlenebilmesidir.
Fail, kişisel verileri hukuka aykırı olarak sisteme kaydetmeyebilir veya üçüncü kişilere aktarmayabilir.
Bununla birlikte, kanundan doğan imha yükümlülüğünü yerine getirmediği anda suçun oluşması gündeme gelebilir.
Bu nedenle TCK’nın 138. maddesinde cezalandırılan esas davranış, aktif bir hareketten ziyade yerine getirilmeyen bir yükümlülüktür.
Ancak her ihmal cezai sorumluluk doğurmaz.
İhmalin cezalandırılabilmesi için, kişisel verilerin belirlenen süre sonunda sistemden çıkarılmasına ilişkin açık bir hukuki yükümlülüğün bulunması gerekir.
Kanuni Saklama Süresinin Dolmuş Olması
Verileri yok etmeme suçunun oluşabilmesi için en önemli şartlardan biri, kişisel verilerin saklanmasına imkân veren hukuki sebebin ortadan kalkmış olmasıdır.
Kanunlarda belirlenen saklama süresi devam ettiği sürece kişisel verilerin sistemde muhafaza edilmesi hukuka uygundur.
Dolayısıyla henüz saklama süresi sona ermemiş verilerin sistemde bulunması nedeniyle TCK’nın 138. maddesi kapsamında suç oluşmaz.
Ancak ilgili mevzuatta öngörülen süre sona erdiği hâlde verilerin sistemde tutulmaya devam edilmesi durumunda cezai sorumluluk gündeme gelebilir.
Bu nedenle her somut olayda öncelikle hangi mevzuat hükümlerinin uygulanacağı ve saklama süresinin gerçekten sona erip ermediği belirlenmelidir.
Manevi Unsur
Verileri yok etmeme suçu yalnızca kasten işlenebilen suçlardan biridir.
Failin;
- kişisel verileri sistemden kaldırmakla yükümlü olduğunu bilmesi,
- saklama süresinin sona erdiğinin farkında olması,
- buna rağmen verileri sistemde tutmaya devam etmesi,
gerekir.
Kanunda bu suçun taksirle işlenebileceğine ilişkin özel bir düzenleme bulunmadığından, yalnızca dikkatsizlik veya ihmal sonucu ortaya çıkan her durum otomatik olarak TCK’nın 138. maddesi kapsamında değerlendirilmez.
Bununla birlikte kastın varlığı, olayın özellikleri, kurumun veri saklama politikaları, görev dağılımı, teknik imkânlar ve failin yükümlülük alanı birlikte değerlendirilerek belirlenmelidir.
Netice Unsuru
Verileri yok etmeme suçunda ayrıca mağdurun somut bir zarara uğraması aranmaz.
Kanunen silinmesi veya yok edilmesi gereken kişisel verilerin sistemde tutulmaya devam edilmesiyle birlikte suç tamamlanabilir.
Dolayısıyla kişisel verilerin daha sonra kötüye kullanılmış olması, üçüncü kişilerin eline geçmiş olması veya maddi zarara neden olması, suçun oluşumu bakımından zorunlu değildir.
Ancak bu tür sonuçların meydana gelmesi hâlinde, somut olayın özelliklerine göre başka suç tipleri veya farklı hukuki sorumluluklar da gündeme gelebilir.
Suçun Tamamlanma Anı
Verileri yok etmeme suçu, kanunen öngörülen saklama süresi sona ermesine rağmen kişisel verilerin sistem içerisinde tutulmaya devam edilmesiyle tamamlanır.
Başka bir ifadeyle suçun oluşumu için ayrıca kişisel verilerin paylaşılması veya üçüncü kişiler tarafından ele geçirilmesi aranmaz.
Önemli olan, kanundan doğan imha yükümlülüğünün yerine getirilmemesidir.
Bu nedenle suçun tamamlanma anı belirlenirken, ilgili mevzuatta öngörülen saklama süresinin sona erdiği tarih ile failin yükümlülüğünü yerine getirmediği süreç birlikte değerlendirilmelidir.
Fail
Verileri yok etmeme suçunun faili, kanun gereği kişisel verileri sistemden silmek, yok etmek veya anonim hâle getirmekle yükümlü olan kişidir.
Bu nedenle herkes bu suçun faili olamaz.
Failin, kişisel veriler üzerinde tasarruf yetkisine veya imha yükümlülüğüne sahip bulunması gerekir.
Örneğin;
- veri sorumlusu,
- kurum adına bu işlemleri yürütmekle görevli yönetici,
- yetkili bilgi işlem sorumlusu,
- mevzuat gereği imha sürecinden sorumlu kişiler,
somut olayın özelliklerine göre bu suçun faili olabilir.
Bu yönüyle TCK’nın 138. maddesi, fail bakımından belirli bir yükümlülüğün varlığını arayan suç tiplerinden biridir.
Mağdur
Verileri yok etmeme suçunun mağduru, kişisel verileri kanunen silinmesi veya yok edilmesi gerekirken sistemde tutulmaya devam edilen gerçek kişidir.
Çünkü korunan hukuki değer, bireyin kişisel verileri üzerindeki hâkimiyeti ve özel hayatının gizliliğidir.
Tüzel kişiler ise bu suç bakımından doğrudan mağdur sıfatını taşımaz.
Ancak tüzel kişilere ait veri tabanlarında bulunan gerçek kişilere ilişkin verilerin hukuka aykırı şekilde sistemde tutulması hâlinde, kişisel verisi muhafaza edilmeye devam edilen gerçek kişiler mağdur olarak kabul edilir.
Kanunların Belirlediği Süre Ne Demektir?
Türk Ceza Kanunu’nun 138. maddesinde suçun oluşabilmesi için aranan temel şartlardan biri, kanunların belirlediği saklama sürelerinin geçmiş olmasına rağmen kişisel verilerin sistem içerisinde tutulmaya devam edilmesidir.
Bu nedenle verileri yok etmeme suçunun değerlendirilmesinde yalnızca kişisel verilerin sistemde bulunup bulunmadığına bakılması yeterli değildir.
Öncelikle ilgili kişisel veri bakımından kanuni saklama süresinin gerçekten sona erip ermediğinin tespit edilmesi gerekir.
Kanun koyucu, TCK’nın 138. maddesinde belirli bir süre öngörmemiş; bunun yerine “kanunların belirlediği süreler” ifadesini kullanmıştır.
Bunun nedeni, her kişisel veri bakımından tek tip bir saklama süresi belirlenmesinin mümkün olmamasıdır.
İşlenen kişisel verinin niteliği, işlenme amacı ve tabi olduğu özel mevzuat farklı olduğundan, saklama süreleri de veri türüne göre değişiklik göstermektedir.
Dolayısıyla TCK’nın 138. maddesi uygulanırken öncelikle hangi mevzuatın ilgili kişisel veri bakımından uygulanacağı belirlenmeli, ardından bu mevzuatta öngörülen saklama süresinin sona erip ermediği değerlendirilmelidir.
Saklama Süreleri Neden Farklıdır?
Kişisel veriler çok farklı amaçlarla işlenebilmektedir.
Bazı veriler yalnızca birkaç ay saklanırken, bazı verilerin yıllarca muhafaza edilmesi kanuni zorunluluk olabilir.
Örneğin;
- iş ilişkileri kapsamında tutulan kayıtlar,
- vergi mevzuatına ilişkin belgeler,
- ticari defter ve kayıtlar,
- sağlık hizmetlerine ilişkin veriler,
- bankacılık işlemlerine ilişkin kayıtlar,
- sosyal güvenlik belgeleri,
aynı süre boyunca saklanmaz.
Bunun nedeni, her veri kategorisinin farklı hukuki yükümlülüklere tabi olmasıdır.
Bu nedenle “kişisel veriler kaç yıl saklanır?” sorusunun tek bir cevabı bulunmamaktadır.
Saklama Süresi Hangi Mevzuata Göre Belirlenir?
Kişisel verilerin ne kadar süreyle muhafaza edileceği, çoğu zaman yalnızca Kişisel Verilerin Korunması Kanunu’na göre belirlenmez.
Veri sorumlularının;
- faaliyet alanı,
- işledikleri veri türü,
- tabi oldukları özel kanunlar,
- idari düzenlemeler,
- ikincil mevzuat,
birlikte değerlendirilmelidir.
Bu kapsamda saklama süreleri;
- iş hukuku,
- sosyal güvenlik mevzuatı,
- vergi mevzuatı,
- ticaret hukuku,
- bankacılık mevzuatı,
- sağlık mevzuatı,
- eğitim mevzuatı,
- ceza muhakemesi hükümleri,
gibi birçok farklı düzenlemeden kaynaklanabilir.
Dolayısıyla veri sorumluları bakımından tek bir genel saklama süresi bulunmamaktadır.
Saklama Süresi Dolunca Ne Yapılmalıdır?
Kanuni saklama süresi sona erdiğinde kişisel verilerin süresiz şekilde sistemlerde tutulmaya devam edilmesi hukuka uygun kabul edilmez.
Bu aşamadan sonra veri sorumlusunun;
- kişisel verileri silmesi,
- yok etmesi,
- anonim hâle getirmesi,
gereken duruma göre ilgili mevzuata uygun işlemleri yerine getirmesi gerekir.
Hangi yöntemin uygulanacağı ise kişisel verinin niteliğine, işlenme amacına ve ilgili düzenlemelere göre belirlenir.
Önemli olan husus, kişisel verilerin artık hukuki bir sebep bulunmaksızın sistemlerde tutulmaya devam etmemesidir.
Saklama Süresinin Dolması Tek Başına Suç Oluşturur mu?
Kanuni saklama süresinin dolmuş olması tek başına TCK’nın 138. maddesi kapsamında cezai sorumluluk doğurmaz.
Suçun oluşabilmesi için ayrıca;
- verilerin sistem içerisinde yok edilmesinden sorumlu olunması,
- bu yükümlülüğün yerine getirilmemesi,
- kişisel verilerin sistemde tutulmaya devam edilmesi,
gerekir.
Dolayısıyla her olay kendi somut özellikleri çerçevesinde değerlendirilmelidir.
Örneğin teknik nedenlerle geçici olarak erişilemeyen veriler ile bilinçli şekilde sistemde tutulmaya devam edilen veriler aynı hukuki değerlendirmeye tabi olmayabilir.
Bu nedenle ceza sorumluluğunun belirlenmesinde failin yükümlülüğü, kastı ve olayın tüm koşulları birlikte dikkate alınmalıdır.
Saklama Politikalarının Önemi
Kişisel verileri işleyen kurum ve kuruluşlar bakımımndan yalnızca verilerin güvenli şekilde muhafaza edilmesi yeterli değildir.
Aynı zamanda hangi veri kategorisinin ne kadar süre saklanacağı, hangi tarihte silineceği veya hangi yöntemle imha edileceğinin önceden belirlenmesi büyük önem taşımaktadır.
Bu nedenle birçok kurum;
- kişisel veri saklama politikaları,
- periyodik imha prosedürleri,
- veri envanterleri,
- imha tutanakları,
- erişim ve kayıt sistemleri,
oluşturarak hem ilgili mevzuata uyumu sağlamaya hem de olası hukuki sorumlulukların önüne geçmeye çalışmaktadır.
Bu belgeler, olası bir ceza soruşturmasında veya kişisel verilerin korunmasına ilişkin incelemelerde önemli deliller arasında yer alabilir.
Değerlendirme
Türk Ceza Kanunu’nun 138. maddesinde geçen “kanunların belirlediği süreler” ifadesi, kişisel verilerin her durumda aynı süre boyunca saklanacağı anlamına gelmemektedir.
Aksine bu ifade, her veri kategorisinin kendi hukuki dayanağına göre değerlendirilmesi gerektiğini göstermektedir.
Bu nedenle veri sorumlularının yalnızca kişisel verileri güvenli şekilde muhafaza etmeleri değil, aynı zamanda hangi verinin hangi süre sonunda silinmesi, yok edilmesi veya anonim hâle getirilmesi gerektiğini de ilgili mevzuat çerçevesinde doğru şekilde belirlemeleri gerekmektedir.
Aksi hâlde, kanuni saklama süresi sona ermesine rağmen kişisel verilerin sistemlerde tutulmaya devam edilmesi, şartların oluşması hâlinde Türk Ceza Kanunu’nun 138. maddesi kapsamında cezai sorumluluğa yol açabilir.
TCK m.138/2 Kapsamındaki Nitelikli Hâl
Türk Ceza Kanunu’nun 138. maddesinin ikinci fıkrasında, verileri yok etmeme suçunun bazı durumlarda daha ağır yaptırımla cezalandırılmasını gerektiren özel bir nitelikli hâl düzenlenmiştir.
Madde hükmüne göre;
Suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken veri olması hâlinde verilecek ceza bir kat artırılır.
Bu düzenleme ile kanun koyucu, ceza muhakemesi sürecinde elde edilen ve belirli bir süre sonunda hukuken ortadan kaldırılması gereken kayıtların sistemde tutulmaya devam edilmesini daha ağır yaptırıma bağlamıştır.
Böylece yalnızca kişisel verilerin korunması değil, aynı zamanda ceza muhakemesi sürecinin güvenilirliği, adil yargılanma ilkesi ve bireylerin temel hakları da ceza hukuku koruması altına alınmaktadır.
Ceza Muhakemesi Kapsamındaki Veriler Neden Özel Koruma Altındadır?
Ceza muhakemesi sırasında çok sayıda kişisel veri işlenmektedir.
Soruşturma ve kovuşturma süreçlerinde;
- ifade tutanakları,
- ses ve görüntü kayıtları,
- bilirkişi raporları,
- dijital materyaller,
- biyometrik veriler,
- iletişim kayıtları,
- adli inceleme dosyaları,
gibi son derece hassas bilgiler elde edilebilmektedir.
Bu kayıtlar çoğu zaman yalnızca kişisel veri niteliği taşımamakta; aynı zamanda bireyin özel hayatına, ceza soruşturmasına ve adalet hizmetinin yürütülmesine ilişkin kritik bilgiler de içermektedir.
Bu nedenle ilgili mevzuatta öngörülen şartlar gerçekleştiğinde bu verilerin sistemlerden çıkarılması veya yok edilmesi zorunludur.
Cezanın Bir Kat Artırılmasının Amacı
Kanun koyucu, ceza muhakemesi kapsamında elde edilen verilerin gereğinden uzun süre sistemlerde tutulmasının doğurabileceği riskleri dikkate alarak daha ağır bir yaptırım öngörmüştür.
Bu kayıtların hukuka aykırı şekilde muhafaza edilmeye devam edilmesi;
- kişisel verilerin kötüye kullanılmasına,
- adli süreçlere ilişkin gizliliğin ihlal edilmesine,
- mağdurların ve şüphelilerin temel haklarının zarar görmesine,
- delil güvenliğinin zedelenmesine,
- yargıya duyulan güvenin sarsılmasına,
neden olabilecek sonuçlar doğurabilir.
Bu nedenle TCK’nın 138. maddesinin ikinci fıkrasında, suçun konusunun Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken verilerden oluşması hâlinde temel cezanın bir kat artırılması öngörülmüştür.
Bu Düzenlemenin TCK m.136/2’den Farkı
TCK’nın 136. maddesinin ikinci fıkrası ile TCK’nın 138. maddesinin ikinci fıkrası benzer görünmekle birlikte farklı hukuki durumları düzenlemektedir.
TCK’nın 136/2 hükmü, Ceza Muhakemesi Kanunu’nun 236. maddesi kapsamında kayda alınan belirli beyan ve görüntülerin hukuka aykırı olarak verilmesi, yayılması veya ele geçirilmesi hâlinde uygulanmaktadır.
Buna karşılık TCK’nın 138/2 hükmünde cezalandırılan fiil, Ceza Muhakemesi Kanunu hükümlerine göre artık sistemde tutulmaması gereken verilerin zamanında yok edilmemesidir.
Dolayısıyla;
- TCK 136/2, hukuka aykırı paylaşma veya ele geçirme fiiline,
- TCK 138/2 ise hukuka aykırı muhafaza etmeye devam etme fiiline ilişkindir.
Her iki düzenlemenin ortak amacı, ceza muhakemesi sürecinde elde edilen hassas verilerin korunmasını sağlamaktır. Ancak cezalandırılan hareketler farklıdır.
Nitelikli Hâlin Uygulanabilmesi İçin Aranan Şartlar
TCK’nın 138. maddesinin ikinci fıkrasının uygulanabilmesi için;
- öncelikle TCK’nın 138. maddesinde düzenlenen temel suçun oluşması,
- suçun konusunu Ceza Muhakemesi Kanunu hükümlerine göre ortadan kaldırılması veya yok edilmesi gereken verilerin oluşturması,
- bu verilerin kanuni yükümlülüğe rağmen sistem içerisinde tutulmaya devam edilmesi,
gerekmektedir.
Bu şartların birlikte gerçekleşmesi hâlinde temel ceza bir kat artırılarak uygulanacaktır.
Değerlendirme
TCK’nın 138. maddesinin ikinci fıkrası, ceza muhakemesi sürecinde elde edilen kişisel verilerin yalnızca doğru şekilde kullanılmasını değil, hukuki dayanakları ortadan kalktıktan sonra sistemlerden zamanında çıkarılmasını da güvence altına almaktadır.
Bu düzenleme, ceza adalet sisteminde işlenen kişisel verilerin gereksiz şekilde muhafaza edilmesini önlemeyi, bireylerin özel hayatını korumayı ve adli süreçlerde elde edilen hassas bilgilerin ilerleyen dönemlerde hukuka aykırı şekilde kullanılmasının önüne geçmeyi amaçlamaktadır.
TCK m.137 Kapsamındaki Ortak Nitelikli Hâller
Verileri yok etmeme suçu bakımından uygulanabilecek ortak nitelikli hâller, Türk Ceza Kanunu’nun 137. maddesinde düzenlenmiştir.
Kanun hükmüne göre;
Madde 137- Yukarıdaki maddelerde tanımlanan suçların;
- a) Kamu görevlisi tarafından ve görevinin verdiği yetki kötüye kullanılmak suretiyle,
- b) Belli bir meslek ve sanatın sağladığı kolaylıktan yararlanmak suretiyle,
işlenmesi hâlinde verilecek ceza yarı oranında artırılır.
Bu düzenleme, kişisel verilere erişim ve bunlar üzerinde işlem yapma yetkisi bulunan kişilerin, sahip oldukları güven ve yetkiyi kötüye kullanmalarını daha ağır şekilde yaptırıma bağlamaktadır.
TCK’nın 138. maddesi bakımından bu nitelikli hâller, kişisel verilerin hukuka aykırı şekilde paylaşılmasından değil; kanunen yok edilmesi gereken verilerin sistemde tutulmaya devam edilmesinden kaynaklanan sorumluluğa ilişkindir.
Kamu Görevlisinin Görevinin Verdiği Yetkiyi Kötüye Kullanması
Kamu kurumları, görevleri gereği çok sayıda kişisel veriyi uzun yıllar boyunca işlemekte ve muhafaza etmektedir.
Nüfus kayıtları, sağlık verileri, sosyal güvenlik bilgileri, eğitim kayıtları, adli belgeler ve benzeri birçok kişisel veri kamu kurumlarının bilgi sistemlerinde yer almaktadır.
Bu nedenle kamu görevlilerinin yalnızca bu verilere erişim sırasında değil, saklama ve imha süreçlerinde de hukuka uygun hareket etmeleri gerekir.
Ancak cezanın artırılması için kişinin yalnızca kamu görevlisi olması yeterli değildir.
Ayrıca kişisel verilerin sistemde tutulmaya devam edilmesinin, görevin sağladığı yetkinin kötüye kullanılması suretiyle gerçekleşmiş olması gerekir.
Başka bir ifadeyle failin, kişisel verileri sistemden silme veya imha etme yükümlülüğüne görevinden kaynaklanan yetkisi nedeniyle sahip olması aranır.
Örneğin;
- nüfus kayıt sisteminde görev yapan bir kamu görevlisinin, kanunen silinmesi gereken kayıtları sistemde tutmaya devam etmesi,
- belediyede görevli bir personelin süresi dolan başvuru kayıtlarını imha etmemesi,
- kamu hastanesinde görev yapan yetkilinin mevzuata göre silinmesi gereken hasta verilerini sistemde muhafaza etmeyi sürdürmesi,
- adli birimlerde görev yapan personelin, ortadan kaldırılması gereken kayıtları sistemden çıkarmaması,
somut olayın özelliklerine göre TCK’nın 137. maddesi kapsamında cezanın artırılmasına neden olabilir.
Meslek veya Sanatın Sağladığı Kolaylıktan Yararlanılması
TCK’nın 137. maddesinde düzenlenen ikinci nitelikli hâl, suçun belirli bir meslek veya sanatın sağladığı kolaylıktan yararlanılarak işlenmesidir.
Bazı meslek grupları, görevleri gereği çok geniş kapsamlı kişisel verilere erişebilmekte ve bu verilerin saklanması ile imhasından sorumlu olabilmektedir.
Bu kişiler, yalnızca verileri korumakla değil; kanuni saklama süresi sona erdiğinde gerekli imha işlemlerini zamanında yerine getirmekle de yükümlüdür.
Örneğin;
- bir doktorun sorumluluğundaki sistemde, mevzuata göre imha edilmesi gereken hasta kayıtlarının tutulmaya devam edilmesi,
- özel hastane yöneticisinin periyodik imha yükümlülüğünü yerine getirmemesi,
- banka bilgi işlem sorumlusunun eski müşteri kayıtlarını sistemden silmemesi,
- insan kaynakları yöneticisinin, saklama süresi dolan personel dosyalarını yıllarca muhafaza etmeye devam etmesi,
- veri merkezi yöneticisinin, imha edilmesi gereken yedekleme kayıtlarını sistemde bırakması,
somut olayın özelliklerine göre bu nitelikli hâlin uygulanmasına yol açabilir.
Burada önemli olan husus, failin kişisel verilere erişim ve bunlar üzerinde işlem yapma imkânını mesleğinin sağladığı yetki sayesinde elde etmiş olmasıdır.
Nitelikli Hâlin Uygulanabilmesi İçin Gerekli Şartlar
TCK’nın 137. maddesinde öngörülen ceza artırımı, her verileri yok etmeme olayında uygulanmaz.
Bunun için öncelikle TCK’nın 138. maddesinde düzenlenen temel suçun oluşmuş olması gerekir.
Bunun yanında;
- failin kamu görevlisi olması ve görevinin sağladığı yetkiyi kötüye kullanarak kişisel verileri sistemde tutmaya devam etmesi,
veya
- failin belirli bir meslek ya da sanatın sağladığı kolaylıktan yararlanarak imha yükümlülüğünü yerine getirmemesi,
şartlarından birinin gerçekleşmesi gerekir.
Bu şartların varlığı hâlinde temel ceza yarı oranında artırılır.
Kurumsal Veri Yönetimi ve Nitelikli Hâller
Günümüzde kişisel verilerin büyük bölümü dijital sistemlerde saklanmaktadır.
Bu nedenle birçok kurumda verilerin ne zaman silineceği, hangi kayıtların imha edileceği ve hangi verilerin anonim hâle getirileceği bilgi işlem altyapıları ve veri yönetim politikaları çerçevesinde belirlenmektedir.
Ancak teknik imkânların gelişmiş olması, veri sorumlularının hukuki yükümlülüklerini ortadan kaldırmaz.
Aksine, kişisel verilere kolay erişim sağlayan gelişmiş bilgi sistemleri, saklama süresi dolan verilerin zamanında imha edilmesini daha da önemli hâle getirmektedir.
Görev veya meslek nedeniyle bu süreçlerden sorumlu olan kişilerin yükümlülüklerini bilerek yerine getirmemeleri, yalnızca veri güvenliğini değil; bireylerin kişisel verileri üzerindeki tasarruf hakkını da zedelemektedir.
Bu nedenle TCK’nın 137. maddesi, kişisel verilerin korunmasına ilişkin güven ilişkisinin kötüye kullanılmasını önleyen önemli bir ceza normu niteliğindedir.
Değerlendirme
Verileri yok etmeme suçunda ortak nitelikli hâllerin düzenlenmesindeki temel amaç, kişisel verilerin saklanması ve imhası konusunda özel yetki ve sorumluluk taşıyan kişilerin, bu yetkilerini hukuka aykırı şekilde kullanmalarını daha ağır yaptırımla karşılamaktır.
Özellikle kamu görevlileri ile belirli meslek mensupları, görevleri gereği eriştikleri kişisel verileri yalnızca güvenli şekilde muhafaza etmekle değil, kanuni saklama süresi sona erdiğinde ilgili mevzuata uygun biçimde silmek, yok etmek veya anonim hâle getirmekle de yükümlüdür.
Bu yükümlülüğün bilinçli şekilde ihlal edilmesi hâlinde TCK’nın 137. maddesi uyarınca verilecek ceza yarı oranında artırılacaktır.
Verileri Yok Etmeme Suçunda Deliller
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen verileri yok etmeme suçunda deliller, kişisel verilerin kanunen belirlenen saklama süresi sona ermesine rağmen sistem içerisinde tutulmaya devam edilip edilmediğinin tespitine yöneliktir.
Bu suç bakımından yalnızca kişisel verilerin sistemde bulunması yeterli değildir. Aynı zamanda verilerin hangi hukuki sebebe dayanılarak saklandığı, saklama süresinin sona erip ermediği ve yükümlü kişi tarafından gerekli imha işlemlerinin yapılıp yapılmadığı da araştırılır.
Bu nedenle soruşturma ve kovuşturma sürecinde hem teknik hem de hukuki deliller birlikte değerlendirilmektedir.
Başlıca deliller şunlardır:
- veri tabanı kayıtları,
- sistem log kayıtları,
- kullanıcı işlem geçmişi,
- sunucu kayıtları,
- yedekleme (backup) kayıtları,
- veri envanterleri,
- kişisel veri saklama ve imha politikaları,
- periyodik imha tutanakları,
- erişim kayıtları,
- VERBİS kayıtları,
- kurum içi yazışmalar,
- elektronik posta kayıtları,
- bilgi işlem birimi raporları,
- bilirkişi incelemeleri,
- adli bilişim raporları,
- tanık beyanları,
- kurum içi denetim raporları.
Özellikle dijital sistemler üzerinde yapılan adli bilişim incelemeleri, kişisel verilerin sistemde ne kadar süre tutulduğu, hangi tarihlerde erişildiği ve imha yükümlülüğünün yerine getirilip getirilmediğinin tespiti bakımından büyük önem taşımaktadır.
Bunun yanında kurumların hazırlamakla yükümlü olduğu kişisel veri saklama ve imha politikaları ile periyodik imha kayıtları da, yükümlülüğün yerine getirilip getirilmediğinin belirlenmesinde önemli deliller arasında yer alabilir.
Ancak her somut olay kendi özellikleri içerisinde değerlendirilmeli; deliller hukuka uygun yöntemlerle elde edilmiş olmalıdır.
Görevli ve Yetkili Mahkeme
Verileri yok etmeme suçunda görevli mahkeme Asliye Ceza Mahkemesidir.
Soruşturma işlemleri ise suçun işlendiği yer Cumhuriyet Başsavcılığı tarafından yürütülmektedir.
Yetkili mahkemenin belirlenmesinde genel kural gereğince suçun işlendiği yer esas alınır.
Bununla birlikte kişisel verilerin farklı şehirlerde bulunan sunucularda saklanması, bulut bilişim altyapılarının kullanılması veya verilerin farklı lokasyonlardan yönetilmesi gibi durumlarda yetki konusu, Ceza Muhakemesi Kanunu hükümleri ve somut olayın özellikleri dikkate alınarak değerlendirilmelidir.
Zamanaşımı
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen verileri yok etmeme suçunda dava zamanaşımı süresi, Türk Ceza Kanunu’nun 66. maddesi uyarınca belirlenmektedir.
Suç için öngörülen ceza dikkate alındığında, verileri yok etmeme suçunda dava zamanaşımı süresi sekiz yıldır.
Ancak zamanaşımının başlangıcı, kesilmesi veya durması gibi hususlar her somut olayın özelliklerine göre ayrıca değerlendirilmelidir.
Özellikle ihmali davranış niteliği taşıyan bu suç bakımından zamanaşımının başlangıcına ilişkin değerlendirme yapılırken, yükümlülüğün ne zaman doğduğu ve hangi tarihte yerine getirilmediğinin dikkatle tespit edilmesi gerekir.
Şikâyet
Verileri yok etmeme suçu şikâyete tabi suçlardan değildir.
Bu nedenle Cumhuriyet savcılığı, suçun işlendiğine ilişkin yeterli şüphenin bulunması hâlinde resen soruşturma başlatabilir.
Mağdurun şikâyetçi olmaması veya daha sonra şikâyetinden vazgeçmesi, kamu davasının açılmasına veya devam etmesine engel teşkil etmez.
Bu yönüyle TCK’nın 138. maddesi, kişisel verilerin korunmasının yalnızca bireysel menfaatleri değil; aynı zamanda kamu düzenini de ilgilendiren bir hukuki değer olarak kabul edildiğini göstermektedir.
Uzlaştırma
Ceza Muhakemesi Kanunu’nda uzlaştırmaya tabi suçlar sınırlı olarak sayılmıştır.
Türk Ceza Kanunu’nun 138. maddesinde düzenlenen verileri yok etmeme suçu, uzlaştırma kapsamında yer alan suçlar arasında değildir.
Bu nedenle soruşturma ve kovuşturma aşamalarında uzlaştırma hükümleri uygulanmaz.
TCK m.135 ile TCK m.138 Arasındaki Fark
Türk Ceza Kanunu’nun 135. maddesi ile 138. maddesi uygulamada zaman zaman birbirine karıştırılmaktadır.
Ancak bu iki suç tipi farklı hukuka aykırılıkları cezalandırmaktadır.
TCK’nın 135. maddesinde cezalandırılan fiil, kişisel verilerin hukuka aykırı olarak kaydedilmesidir.
TCK’nın 138. maddesinde ise başlangıçta hukuka uygun şekilde elde edilmiş veya saklanmış kişisel verilerin, kanunen belirlenen saklama süresi sona ermesine rağmen sistemden çıkarılmaması yaptırıma bağlanmaktadır.
Dolayısıyla birinde hukuka aykırı kayıt oluşturma söz konusu iken, diğerinde hukuken sona ermiş olması gereken veri saklama sürecinin devam ettirilmesi söz konusudur.
TCK m.136 ile TCK m.138 Arasındaki Fark
TCK’nın 136. maddesinde kişisel verilerin;
- verilmesi,
- yayılması,
- ele geçirilmesi,
fiilleri cezalandırılmaktadır.
Buna karşılık TCK’nın 138. maddesinde cezalandırılan hareket, kişisel verilerin üçüncü kişilere aktarılması değil; kanunen yok edilmesi gereken verilerin sistemde tutulmaya devam edilmesidir.
Örneğin;
bir şirketin eski müşterilere ait kişisel verileri rakip firmaya göndermesi TCK’nın 136. maddesi kapsamında değerlendirilebilir.
Aynı şirketin, artık saklama yükümlülüğü sona ermiş müşteri kayıtlarını yıllarca veri tabanında muhafaza etmeye devam etmesi ise TCK’nın 138. maddesi bakımından ayrıca değerlendirilmelidir.
Bu nedenle iki suç tipi birbirini tamamlamakta; ancak farklı hukuka aykırılıkları yaptırıma bağlamaktadır.
KVKK ile İlişkisi
Verileri yok etmeme suçu ile 6698 sayılı Kişisel Verilerin Korunması Kanunu arasında yakın bir ilişki bulunmaktadır.
KVKK ve ilgili ikincil mevzuat, kişisel verilerin hangi şartlarda silineceği, yok edileceği veya anonim hâle getirileceği konusunda veri sorumlularına önemli yükümlülükler getirmektedir.
Türk Ceza Kanunu’nun 138. maddesi ise bu yükümlülüklerin belirli koşullar altında yerine getirilmemesini ceza yaptırımına bağlamaktadır.
Ancak her KVKK ihlali otomatik olarak TCK’nın 138. maddesi kapsamında suç oluşturmaz.
Benzer şekilde TCK’nın 138. maddesi kapsamında cezai sorumluluk doğurabilecek bir olayda, ayrıca KVKK kapsamında idari yaptırımların uygulanması da mümkündür.
Bu nedenle somut olay değerlendirilirken hem ceza hukuku hem de kişisel verilerin korunmasına ilişkin mevzuat birlikte ele alınmalıdır.
Uygulamadan Örnek Olaylar
Verileri yok etmeme suçu, dijital sistemlerin yaygınlaşmasıyla birlikte kamu kurumlarında ve özel sektörde daha sık karşılaşılan bir suç tipi hâline gelmiştir.
Her ne kadar kişisel verilerin hukuka uygun şekilde elde edilmesi büyük önem taşısa da, bu verilerin kanuni saklama süresi sona ermesine rağmen sistemlerde tutulmaya devam edilmesi de ciddi hukuki sonuçlar doğurabilmektedir.
Aşağıdaki örnekler, TCK’nın 138. maddesinin uygulama alanını göstermesi bakımından genel değerlendirme niteliğindedir. Her somut olay kendi özellikleri içerisinde ayrıca incelenmelidir.
Örnek 1
İşten ayrılan bir çalışanın özlük dosyasının, saklama süresi dolmasına rağmen şirket veri tabanında tutulmaya devam edilmesi.
Örnek 2
Üyeliğini yıllar önce sonlandıran müşterilere ait kişisel verilerin aktif müşteri veri tabanından silinmemesi.
Örnek 3
Bir özel hastanenin, mevzuatta öngörülen süre sona ermesine rağmen eski hasta kayıtlarını sistemde muhafaza etmeye devam etmesi.
Örnek 4
Bir bankanın, saklama yükümlülüğü sona eren eski müşteri kayıtlarını bilgi sistemlerinde tutmaya devam etmesi.
Örnek 5
Bir e-ticaret şirketinin, kapatılan kullanıcı hesaplarına ait kişisel verileri herhangi bir hukuki gerekçe bulunmaksızın sistemde saklamayı sürdürmesi.
Örnek 6
İnsan kaynakları biriminin, işe alınmayan adaylara ait özgeçmişleri ve kişisel bilgileri yıllarca veri tabanında muhafaza etmesi.
Örnek 7
Bir eğitim kurumunun, mezuniyet sonrası saklama süresi sona eren öğrenci kayıtlarını silmemesi.
Örnek 8
Süresi dolan güvenlik kamerası kayıtlarının kurum sunucularında tutulmaya devam edilmesi.
Örnek 9
Bir belediyenin, sonuçlandırılmış başvurulara ilişkin kişisel verileri gerekli imha süreci işletilmeksizin sistemde bırakması.
Örnek 10
Kanuni saklama süresi sona eren biyometrik giriş kayıtlarının işveren tarafından kullanılmaya devam edilmesi.
Örnek 11
Bir kamu kurumunun, imha edilmesi gereken dijital arşiv kayıtlarını yıllarca sistemde muhafaza etmesi.
Örnek 12
Ceza Muhakemesi Kanunu uyarınca ortadan kaldırılması gereken kayıtların sistemden silinmemesi.
Bu örneklerin her biri bakımından suçun oluşup oluşmadığı; ilgili verinin niteliği, uygulanacak özel mevzuat, saklama süresi, yükümlü kişinin konumu ve olayın diğer özellikleri birlikte değerlendirilmelidir.
Sıkça Sorulan Sorular
Verileri yok etmeme suçu nedir?
Verileri yok etmeme suçu, kanunlarda belirlenen saklama süresi sona ermesine rağmen kişisel verileri sistemden silmek, yok etmek veya ilgili mevzuata uygun şekilde imha etmekle yükümlü olan kişilerin bu yükümlülüğü yerine getirmemesi hâlinde oluşan suçtur.
Verileri silmemek her zaman suç mudur?
Hayır. Kişisel verilerin sistemde tutulmasının hukuka aykırı sayılabilmesi için öncelikle kanuni saklama süresinin sona ermiş olması ve ilgili kişinin verileri imha etmekle yükümlü bulunması gerekir.
Kişisel veriler ne kadar süre saklanabilir?
Bu sorunun tek bir cevabı yoktur. Saklama süresi, işlenen verinin niteliğine ve ilgili özel mevzuata göre değişmektedir.
Saklama süresi dolunca ne yapılmalıdır?
İlgili mevzuatın gerektirdiği şekilde kişisel veriler silinmeli, yok edilmeli veya anonim hâle getirilmelidir.
Silmek ile yok etmek aynı şey midir?
Hayır. Silme işleminde veri erişilemez ve kullanılamaz hâle getirilirken, yok etmede veri geri getirilemeyecek şekilde tamamen ortadan kaldırılır.
Anonim hâle getirme ne anlama gelir?
Anonim hâle getirme, kişisel verilerin artık belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek duruma getirilmesidir.
Eski çalışanların özlük dosyaları süresiz saklanabilir mi?
Hayır. İlgili mevzuatta öngörülen saklama süresi sona erdiğinde gerekli imha işlemleri gerçekleştirilmelidir.
Güvenlik kamerası kayıtlarının silinmemesi suç oluşturabilir mi?
Somut olayın özelliklerine ve ilgili mevzuata göre, saklama süresi sona ermesine rağmen kamera kayıtlarının sistemde tutulmaya devam edilmesi TCK’nın 138. maddesi kapsamında değerlendirilebilir.
Verileri yok etmeme suçunun cezası nedir?
TCK’nın 138. maddesine göre bu suçun temel cezası bir yıldan iki yıla kadar hapis cezasıdır. Kanunda düzenlenen nitelikli hâllerin bulunması durumunda ceza artırılabilir.
Suç şikâyete bağlı mıdır?
Hayır. Verileri yok etmeme suçu şikâyete tabi değildir. Cumhuriyet savcılığı gerekli şartların oluşması hâlinde resen soruşturma başlatabilir.
Şikâyetten vazgeçilirse dava düşer mi?
Hayır. Suç şikâyete tabi olmadığından, şikâyetten vazgeçilmesi kamu davasının düşmesine neden olmaz.
Bu suç uzlaştırmaya tabi midir?
Hayır. Verileri yok etmeme suçu uzlaştırma kapsamında yer almamaktadır.
Her KVKK ihlali TCK’nın 138. maddesi kapsamında suç oluşturur mu?
Hayır. KVKK kapsamında idari yaptırım uygulanmasını gerektiren her ihlal, TCK’nın 138. maddesi anlamında ceza sorumluluğu doğurmaz. Her olay kendi koşulları içinde ayrıca değerlendirilmelidir.
Aynı olayda hem KVKK hem de TCK uygulanabilir mi?
Evet. Aynı fiil nedeniyle hem KVKK kapsamında idari yaptırımlar hem de TCK kapsamında ceza soruşturması gündeme gelebilir.
Sonuç
Kişisel verilerin korunması, yalnızca verilerin hukuka uygun şekilde elde edilmesi ve işlenmesiyle sınırlı değildir. Bu koruma, kişisel verilerin artık işlenmesine gerek kalmadığında veya kanuni saklama süresi sona erdiğinde sistemlerden zamanında çıkarılmasını da kapsamaktadır.
Türk Ceza Kanunu’nun 138. maddesi, veri sorumlularına yalnızca kişisel verileri güvenli şekilde muhafaza etme yükümlülüğü yüklememekte; aynı zamanda gerekli şartlar oluştuğunda bu verileri silme, yok etme veya anonim hâle getirme sorumluluğu da getirmektedir.
Bu nedenle kamu kurumlarının, özel şirketlerin ve kişisel veri işleyen tüm veri sorumlularının; saklama sürelerini doğru belirlemeleri, güncel saklama ve imha politikaları oluşturmaları, periyodik imha süreçlerini düzenli olarak işletmeleri ve ilgili mevzuata uygun hareket etmeleri büyük önem taşımaktadır.
Verileri yok etmeme suçuna ilişkin soruşturma veya kovuşturma süreçlerinde, somut olayın özelliklerinin dikkatle değerlendirilmesi ve hak kaybı yaşanmaması adına ceza hukuku ile kişisel verilerin korunması hukuku alanında uzman bir Ankara Ceza Avukatından hukuki destek alınması önem arz etmektedir.
